1. Ausgangslage Cybersecurity in der operative Technologie
(OT)(Industrial Cybersecurity, OT-Risiken)
Cybersicherheit ist ein kritisches Thema – nicht nur für die IT von Unternehmen, sondern seit Jahren auch immer mehr für die Betriebstechnologie (OT). Die OT war ursprünglich eine eher isolierte Umgebung, in der PLCs, Netzwerke und Steuerungskomponenten für eine spezifische Aufgabe zusammengeschaltet waren. Der Begriff „Sicherheit“ bezog sich dabei vor allem auf den sicheren Betrieb, weniger auf Cyberbedrohungen.
Doch seit der Entdeckung des Wurms „Stuxnet“ im Jahr 2010 hat sich dies grundlegend geändert. Der Angriff auf SPS-Steuerungen zeigte eindrücklich, dass auch OT-Umgebungen Ziel von Cyberangriffen sein können. Traditionell waren diese Bereiche „Air-Gapped“ und nicht mit externen Netzwerken verbunden. Heute jedoch sind OT-Netzwerke oft via Ethernet oder WiFi an IT-Systeme oder mit der Cloud verbunden.
Mit der Konvergenz von IT und OT müssen Fabrikautomatisierung und industrielle Anwendungen gegen aktuelle und zukünftige Cyber-Security-Bedrohungen gewappnet sein. Zwar treten IT-Vorfälle häufiger auf, doch OT-Vorfälle sind meist wesentlich destruktiver und können Leib und Leben, aber auch ganze Unternehmen gefährden. Die technische Kluft zwischen IT- und OT-Systemen erschwert es, etablierte IT-Sicherheitsmechanismen einfach zu übernehmen.
2. Staatliche und normative Vorgaben
(Cyber Resilience Act, NIS-2, Maschinenverordnung)
Inzwischen haben nationale, europäische und internationale Institutionen die Relevanz von OT-Security erkannt. Neben dem Schutz der Gesellschaft und Wirtschaft sind auch staatliche Akteure involviert, die Cyberangriffe strategisch einsetzen.
Ein zentrales Ergebnis auf EU-Ebene ist der Cyber Resilience Act (CRA). Dieser bezieht sich auf alle Produkte mit digitalen Elementen, die in der Europäischen Union vertrieben werden – also auch auf OT-Komponenten. Der CRA wird nach einer Übergangszeit bis November 2027 ohne nationale Gesetzgebung europaweit gültig.
Während der CRA den Fokus auf Produkte legt, adressiert die NIS-2 Richtlinie vor allem Prozesse und IT in Unternehmen, insbesondere in kritischen Infrastrukturen (KRITIS) und KRITIS-nahen Betrieben.
Zudem finden sich Cybersecurity-Anforderungen in weiteren Normen und Regularien wie der Maschinenverordnung 2023/1230, der „Radio Equipment Directive“ (RED, Artikel 3.3), der UNR 155/156 (automotive communication) oder der IEC 61508 (Functional Safety).
3. Lösungsansatz IEC 62443 für sichere OT-Umgebungen
(Industrielle Automation & Control Systems, IACS)
Die Normenreihe IEC 62443 ist speziell auf industrielle Kommunikationssysteme (Industrial Automation & Control Systems, IACS) ausgerichtet und bietet einen Rahmen, um Cybersecurity umfassend zu betrachten und praktisch umzusetzen.
Die IEC 62443 besteht aus vier Teilen. Während der erste Teil (62443-1) Begriffsbestimmungen klärt, befassen sich die weiteren Teile mit der gesamten Wertschöpfungskette einer Anlage – vom Komponentenlieferanten über den Maschinenbauer bis zum Anlagenbetreiber.
Jeder Akteur muss seinen Beitrag zur Sicherheit leisten.
Komponentenlieferant
Sichere Entwicklung, Bereitstellung von Sicherheitsupdates über den Lebenszyklus
Maschinenbauer
Sicherheit in Konzeption, Ausstattung mit sicheren Komponenten, sichere Konfiguration
Anlagenbetreiber
Sicherer Betrieb, Einspielen von Updates, Schulung von Personal
4. Konzepte der IEC 62443
(Defense in Depth, Security by Design, Security by Default, DevSecOps)
Die IEC 62443 verfolgt praxisorientierte Konzepte, um technische und organisatorische Anforderungen abzudecken.
- Defense in Depth
Mehrschichtige Sicherheitskonzepte, ähnlich einer Burg mit Wassergraben, Mauern und Türmen. So werden Anlagen und Maschinen in verschiedene Schichten unterteilt, von physischem Zugangsschutz bis hin zu sicherem System- und Netzwerkdesign.
- Security by Design
Sicherheitsanforderungen müssen von Anfang an in die Produkt- und Maschinenentwicklung einfließen, gleichrangig zu funktionalen Anforderungen.
- Security by Default
Produkte sollen in ihrer Grundkonfiguration bereits so sicher wie möglich ausgeliefert werden. Potenziell riskante Funktionen werden erst bei Bedarf aktiviert.
- Secure Development Process & DevSecOps
Ein sicherer Entwicklungsprozess muss Sicherheit durchgängig berücksichtigen. Ähnlich fordern NIS-2 und DSGVO sichere Entwicklungs- und Betriebsumgebungen.
5. Einfache Maschinensicherheit durch Zonen und Conduits
(OT-Netzwerksegmentierung, Industrial Security Architecture)
Im Rahmen von Security by Design ist der Netzwerkaufbau in einer Produktionsanlage entscheidend. Analog zur Burgtaktik sollten Netzwerke in verschiedene Vertrauenszonen unterteilt werden, deren Übergänge durch sogenannte „Conduits“ geschützt sind. Diese Conduits lassen nur die unbedingt notwendige Kommunikation zu und erhöhen so die Sicherheit, ohne die Funktionalität der Anlage zu beeinträchtigen.
Diese Netzwerksegmentierung ist oft auch nachträglich in bestehenden Anlagen umsetzbar, ohne die grundlegende Planung der Maschine neu aufzusetzen.
6. Technische Lösungen als Conduit:
Firewall, Koppler, MQTT-Broker, Fernwartungs-Router
Maschinen-Firewall als Conduit (OT-Firewall)
Eine Firewall (z. B. Helmholz WALL IE) trennt die Kommunikation der Maschine vom Fabriknetzwerk ab. Nur konfigurierte und erlaubte Verbindungen sind möglich. IP-Adressen im Maschinennetzwerk werden über NAT übersetzt, nicht benötigte Adressen bleiben unsichtbar. Das erleichtert auch die Inbetriebnahme, da die Maschine intern immer gleich bleibt.
Gateways und Koppler als Conduit
(Maschine-zu-Maschine-Kommunikation)
Wenn nur die reinen Nutzdaten zweier Maschinen ausgetauscht werden sollen, kommen Feldbuskoppler zum Einsatz. Diese kopieren ausschließlich Nutzdaten, verhindern aber jeglichen anderen Datenverkehr zwischen den Maschinen. So lässt sich z. B. eine PROFINET CPU mit einer EtherNet/IP-CPU sicher koppeln.
MQTT-Broker als Conduit
(Maschine-zu-Cloud, Industrial IoT)
MQTT ist ein verbreitetes Protokoll für die Cloud-Anbindung. Ein MQTT-Broker mit zwei getrennten LAN-Schnittstellen (z. B. von Helmholz) kann als sicherer Vermittler dienen. Auf einer Seite empfängt er die Maschinen-Daten, auf der anderen gibt er sie an die Cloud weiter, ohne dass die Maschine direkt aus dem Internet erreichbar ist.
Fernwartungs-Router als Conduit
(Fernwartung, VPN-Sicherheit)
Fernwartung ist sicherheitskritisch. Ein Router mit integrierbarer Firewall (z. B. Helmholz REX-Serie) ermöglicht rollenbasierten Fernzugriff via VPN. So kann genau festgelegt werden, welche Geräte der Service-Techniker erreichen darf, um unbeabsichtigte oder unautorisierte Zugriffe zu vermeiden.
Die Vorteile der Conduit-Lösungen und Einsatzbereiche im Vergleich
| Conduit-Lösung | Anwendung | Vorteile |
| Maschinen-Firewall | Maschine <--> Fabriknetz |
|
| Feldbuskoppler | Maschine <--> Maschine |
|
| MQTT-Broker (2 LANs) | Maschine <--> Cloud (IoT) |
|
| Fernwartungs-Router |
Remote Zugriff (Service <--> Maschine) |
|
7. Organisatorische Maßnahmen und Informations-
management PSIRT, CERT@VDE, Firmware-Updates
Neben technischen Maßnahmen wie Conduits ist ein professionelles Informationsmanagement entscheidend. Regelmäßige Informationen über Sicherheitslücken, Firmwareupdates und sichere Konfigurationen sind unerlässlich.
Wichtige Fragen für Anlagenbetreiber:
- Welche vernetzten Komponenten (Ethernet, WiFi, Bluetooth, LTE/5G) sind in meiner Anlage verbaut?
- Wo erhalte ich Informationen zu Sicherheitsvorfällen und neuen Firmware-Versionen?
- Wie konfiguriere ich die Geräte sicher?
- An wen kann ich mich bei Sicherheitsproblemen wenden?
PSIRT - Product Security Incident Response Team
Für Helmholz-Komponenten ist das PSIRT-Team Ihr direkter Ansprechpartner.
E-Mail: psirt@helmholz.de
Telefon: +49 (9135) 7380-0
Weitere Informationen finden Sie auf unserer Seite zum Thema PSIRT.
Das CERT@VDE ist Partner für die Veröffentlichung von Sicherheitsvorfällen in Helmholz-Produkten. Hier finden Sie veröffentlichte Advisories, und über RSS-Feeds können Sie Meldungen direkt in Outlook einbinden, um stets „up-to-date“ zu bleiben.
8. Fazit der IEC 62443: Strategien für eine sichere
und zukunftsfähige OT-Infrastruktur
Die IEC 62443 bietet einen fundierten Ansatz, um OT-Umgebungen und Maschinen unter Berücksichtigung des Cyber Resilience Acts, der NIS-2 Richtlinie und weiterer Normen sicher zu gestalten.
Durch die Anwendung von Defense-in-Depth-Konzepten, Security by Design und Security by Default sowie durch den gezielten Einsatz von Conduits in Form von Firewalls, Kopplern, MQTT-Brokern und Fernwartungs-Routern kann ein hohes Maß an Sicherheit erreicht werden. Ergänzt durch ein aktives Informations- und Sicherheitsmanagement, PSIRT-Unterstützung und CERT@VDE-Anbindung sind Anlagenbetreiber, Maschinenbauer und Komponentenhersteller langfristig auf aktuelle und zukünftige Cyberbedrohungen vorbereitet.
Unsere Partner zum Thema Sicherheit
So schützt Helmholz die Industrielle
Kommunikation.
Leitfaden für Maschinenhersteller und -betreiber zur
aktuellen EU-Gesetzgebung
Jetzt Newsletter abonnieren!
Erhalten Sie regelmäßig Neuigkeiten zu Produkten, Aktionen und Lösungen aus der Welt von Helmholz.